Mikä on APPI?

APPI on Japanin ensisijainen tietosuojalaki, jota valvoo henkilötietojen suojakomissio (PPC). Se koskee kaikkia yrityksiä, jotka käsittelevät Japanissa olevien henkilöiden henkilötietoja, riippumatta yrityksen sijainnista.

Vuoden 2022 muutokset ottivat käyttöön käsitteen "henkilöön viitattavissa oleva tieto" — tieto, joka ei itsessään ole henkilötietoa, mutta voi tunnistaa yksilöitä yhdistettynä muihin tietoihin. Tämä luokka kattaa monenlaisia evästeitä ja seurantatunnisteita.

Miten APPI käsittelee evästeitä

Alkuperäisen APPI:n mukaan evästeitä ei säännelty erikseen, koska niitä ei pidetty "henkilötietoina", elleivät ne voineet suoraan tunnistaa henkilöä. Vuoden 2022 muutokset muuttivat tätä tilannetta merkittävästi.

Evästeet joutuvat nyt tarkastelun alle, kun niitä jaetaan kolmansille osapuolille, jotka voivat yhdistää ne henkilötietoihin. Jos välität evästetietoja kolmannelle osapuolelle (kuten mainosverkostolle tai analytiikkapalveluntarjoajalle), joka voi yhdistää ne tunnistettaviin henkilöihin, sinun on saatava käyttäjän suostumus ennen siirtoa.

Tämä tarkoittaa, että vaikka APPI ei vaadi kaikkia evästeitä koskevaa yleistä suostumusta kuten GDPR, suostumus on pakollinen kolmannen osapuolen evästeiden jakamisessa monissa yleisissä mainonta- ja analytiikkatilanteissa.

Verkkosivustojen ylläpitäjien keskeiset velvoitteet

• Tietojen luovuttaminen kolmansille osapuolille: Hanki ennakkosuostumus ennen evästetietojen jakamista kolmansille osapuolille, jotka voivat yhdistää ne henkilötietoihin.
• Tietosuojakäytännön julkistaminen: Kerro selkeästi, mitä evästeitä käytät, niiden tarkoitukset ja mitkä kolmannet osapuolet vastaanottavat tiedot.
• Rajat ylittävät siirrot: Jos evästetietoja lähetetään Japanin ulkopuolisille palvelimille, ilmoita käyttäjille kohdemaan tietosuojastandardeista tai hanki nimenomainen suostumus.
• Tietoturvaloukkausilmoitus: Ilmoita henkilötietoja (mukaan lukien evästeisiin liittyvät tiedot) koskevista loukkauksista PPC:lle säädetyn ajan kuluessa.
• Yksilön oikeudet: Vastaa käyttäjien pyyntöihin heidän henkilötietojensa luovuttamisesta, korjaamisesta tai poistamisesta, mukaan lukien evästeistä johdetut tiedot.

APPI vs. GDPR: Keskeiset erot

Vaikka molemmat lait pyrkivät suojelemaan henkilötietoja, ne eroavat laajuudeltaan ja lähestymistavaltaan:

• Suostumuksen laajuus: GDPR vaatii suostumuksen lähes kaikille ei-välttämättömille evästeille. APPI keskittää suostumusvaatimukset kolmannen osapuolen tietojen jakamiseen evästeiden asettamisen sijaan.
• Oikeusperusteet: GDPR tarjoaa kuusi oikeusperustetta käsittelylle. APPI nojaa pääasiassa suostumukseen ja lailliseen liiketoimintatarkoitukseen, vähemmillä muodollisilla kategorioilla.
• Rangaistukset: GDPR-sakot voivat nousta 4 %:iin maailmanlaajuisista tuloista. APPI:n rangaistukset olivat historiallisesti pienempiä, mutta vuoden 2022 muutokset nostivat enimmäissakot ¥100 million (noin $700,000) yrityksille.
• Ekstraterritoriaalinen ulottuvuus: Molemmat lait koskevat ulkomaisia yrityksiä, jotka käsittelevät kotimaisten asukkaiden tietoja, mutta täytäntöönpanomekanismit eroavat merkittävästi.

APPI-yhteensopivan evästesuostumuksen toteuttaminen

Noudattaaksesi APPI:a samalla kun ylläpidät hyvää käyttäjäkokemusta, noudata näitä vaiheita:

1. Tarkasta evästeesi: Tunnista, mitkä evästeet keräävät tietoja, joita jaetaan kolmansille osapuolille, erityisesti mainosverkostoille ja analytiikka-alustoille.
2. Luokittele riskin mukaan: Erota ensimmäisen osapuolen evästeet kolmannen osapuolen tiedonsiirtoihin osallistuvista evästeistä. Vain jälkimmäiset vaativat nimenomaisen APPI-suostumuksen.
3. Ota käyttöön suostumusbanneri: Käytä CMP:tä, joka tukee APPI-spesifisiä suostumusvirtoja. Bannerin tulisi selkeästi selittää kolmannen osapuolen tietojen jakaminen japaniksi.
4. Kunnioita käyttäjien valintoja: Estä kolmannen osapuolen evästekomentosarjat, kunnes suostumus on annettu. Ensimmäisen osapuolen toiminnalliset evästeet voidaan ladata ilman suostumusta APPI:n mukaan.
5. Dokumentoi kaikki: Ylläpidä tietoja suostumusten keräämisestä, evästeluettelostasi ja kolmannen osapuolen tietojenkäsittelysopimuksista.

Rajat ylittävät tiedonsiirrot APPI:n mukaan

APPI:lla on erityiset säännöt henkilötietojen siirtämiseksi Japanin ulkopuolelle. Jos evästetietosi siirtyvät muiden maiden palvelimille — mikä on yleistä globaalien analytiikka- ja mainosalustojen kanssa — sinun on joko:

• Hankittava henkilön nimenomainen suostumus rajat ylittävään siirtoon.
• Vahvistettava, että vastaanottavassa maassa on tietosuojastandardit, jotka PPC tunnustaa Japanin standardeja vastaaviksi.
• Varmistettava, että vastaanottava organisaatio on toteuttanut APPI-standardien mukaiset tietosuojatoimenpiteet sopimuksen tai muiden keinojen kautta.

PPC tunnustaa tällä hetkellä EU:n ja Yhdistyneen kuningaskunnan riittävän tietosuojan tarjoaviksi. Muiden lainkäyttöalueiden osalta tarvitset yleensä käyttäjän suostumuksen tai sopimusperusteiset takeet.

Parhaat käytännöt Japanin markkinoiden vaatimustenmukaisuuteen

• Lokalisoi suostumuskäyttöliittymäsi: Esitä evästeiden suostumustiedot japaniksi. Koneellisesti käännetyt bannerit voivat luoda vaatimustenmukaisuusaukkoja, jos oikeudelliset termit ovat epätarkkoja.
• Yhdistä APPI ja GDPR: Jos palvelet sekä japanilaisia että eurooppalaisia käyttäjiä, määritä CMP soveltamaan GDPR-sääntöjä EU:ssa ja APPI-sääntöjä Japanissa. Yhtenäinen suostumuskerros vähentää kehityskustannuksia.
• Seuraa PPC:n ohjeistusta: PPC julkaisee säännöllisesti päivitettyjä ohjeita ja kysymys-vastaus-asiakirjoja. Pysy ajan tasalla täytäntöönpanosuuntauksista ja uusista tulkinnoista.
• Varaudu muutoksiin: Japani tarkistaa APPI:n kolmen vuoden sykleissä. Seuraava tarkistus odotetaan vuoteen 2025–2026 mennessä, mahdollisesti tuoden tiukempia evästesäännöksiä.

Johtopäätös

APPI ei ehkä vaadi suostumusta jokaiselle evästeelle, mutta sen säännöt kolmannen osapuolen tietojen jakamisesta ja rajat ylittävistä siirroista luovat todellisia velvoitteita kaikille verkkosivustoille, jotka käyttävät mainonta- tai analytiikkaevästeitä japanilaisten kävijöiden kanssa. Hyvin konfiguroitu CMP, joka erottaa ensimmäisen ja kolmannen osapuolen evästeet — ja esittää selkeät, lokalisoidut suostumusvaihtoehdot — on käytännöllisin polku vaatimustenmukaisuuteen.